Acceso remoto

La página Acceso remoto: abrir los paneles de control de esta estación a otros dispositivos de la red, por HTTPS si lo desea, quién puede usarlos, los navegadores conectados en este momento y las tabletas y los ordenadores configurados para abrirse a su manera, y el reinicio que cuesta cada cambio.

Acceso remoto es una página propia, la entrada del grupo inferior de la barra de navegación justo después de Agente, que solo se dibuja para un rol que tenga Ver acceso remoto; la ruta /remote-access está protegida por el mismo permiso. Apagado, el host web de la estación responde solo a su propia máquina en la dirección de loopback, que es como la ventana de escritorio dibuja la interfaz, y no escucha nada en la red. Encendido, se enlaza también cada dirección de red de la estación, y una tableta u otro PC de la misma LAN pueden abrir la misma interfaz en un navegador. La página dice qué es bajo el título: "Abre los paneles de control de esta estación en el navegador de los ordenadores y tabletas de su red. Recibe conexiones y nunca abre una." Tiene tres tarjetas, Estado, Configuración y Acceso de clientes: Ver acceso remoto las lee, y Configurar acceso remoto enciende y apaga el acceso remoto y cambia sus ajustes. Cada cambio reinicia el servidor web que dibuja la mismísima pantalla en la que usted está, así que cada uno pregunta primero.

Encendido y apagado

La barra de la parte superior de la página muestra su estado junto a su icono: "Apagado", "Escuchando en el puerto 18760", "Iniciando…" mientras el servidor web vuelve tras un cambio, "Sin dirección de red" o "No se pudo iniciar". Su punto es gris mientras el acceso remoto está apagado, verde mientras otros dispositivos alcanzan la estación, ámbar mientras arranca o no tiene dirección que dar, y rojo cuando se rechazó la red.

Habilitar y Deshabilitar en la barra de comandos lo encienden y lo apagan. En una estación nueva está apagado. Encendido: el host web enlaza cada dirección LAN de la estación junto a la de loopback, la aplicación añade una regla del Firewall de Windows llamada "Ganter Lab Dashboard" (TCP de entrada en el puerto, perfiles Privado y Dominio, solo la subred local) e instala una lista de permitidos que rechaza cualquier origen fuera de los rangos de direcciones privadas. Apagado: solo se enlaza el loopback y la regla se quita. A un rol sin Configurar acceso remoto no se le dibujan los dos comandos, y lee las tarjetas sin cambiarlas. Cada comando sigue dibujado y en gris con el motivo mientras el acceso remoto ya está en su estado. Los dos comandos y los ajustes se ponen en gris igual mientras una unidad está en marcha o el runtime está detenido, como en el Connector, y en la demostración publicada, cuya dirección se fija al iniciarse: "La dirección de esta demostración se fija al iniciarse, así que el acceso remoto no se puede cambiar aquí."

Los ajustes

La tarjeta Estado muestra dónde se alcanza la estación. Mientras el acceso remoto está apagado dice "El acceso remoto está apagado: solo este ordenador abre los paneles de control de la estación y nada escucha en la red." En una estación con dirección de red, siguen el código QR y la dirección que va a dar, atenuados, bajo Abrir en otro dispositivo, con el acceso remoto encendido: "Este código y esta dirección no abren nada hasta que el acceso remoto esté encendido. Entonces, un navegador de la misma red abre la estación escaneando el código o escribiendo esta dirección:". Esa dirección es la primera dirección de red de este ordenador, leída como la lee el host cuando se enciende el acceso remoto, así que es la que el host vincula primero; en una estación sin dirección de red la tarjeta muestra solo la frase. Mientras está encendido, muestra una de tres cosas.

• Abrir en otro dispositivo: un código QR y la dirección que escribir, http://<dirección>:<puerto>/ (o https://), donde la dirección es la primera dirección LAN que enlazó el host al iniciarse. Escanéelo o escríbala en un navegador de la misma red.
• "Esta estación todavía no está en una red. Conéctela a la red de planta para obtener una dirección que compartir.": el acceso remoto está encendido, pero la estación no tenía ninguna dirección LAN cuando arrancó el host, así que solo se enlazó el loopback y no se creó ninguna regla del firewall. El ajuste se queda encendido, y el host se vuelve a enlazar cuando aparece una dirección.
• El acceso remoto no está disponible, un aviso de precaución: se pidió HTTPS y el certificado no se pudo cargar ni crear. El aviso lleva el motivo: "El acceso remoto no se inició porque su certificado HTTPS no se pudo cargar ni crear. El acceso por loopback sigue disponible; revise Eventos y cambie el ajuste de acceso remoto para volver a intentarlo." La estación no vuelve nunca por su cuenta a HTTP sin cifrar, y una notificación de "Panel de control remoto no disponible" dice lo mismo cuando arranca el host.

Siempre que la tarjeta muestra el código, apagado o encendido, una línea debajo da la dirección que abre la estación en su propio ordenador, http://localhost:<puerto> en el puerto en el que escucha la estación. Responde diga lo que diga el acceso remoto, porque es la dirección de loopback desde la que se dibuja la propia ventana de la estación; un navegador allí entra con el rol Sin sesión iniciada.

En la demostración publicada dice "Esta es la demostración publicada: los visitantes llegan a ella por la dirección con la que la abrieron."

La tarjeta Acceso de clientes dice quién puede entrar: un navegador de otro dispositivo entra con su propio inicio de sesión, y solo mientras su rol tenga Acceso remoto (LAN) (véase Quién puede abrir un panel de control). Mientras el acceso remoto está encendido, también muestra el estado de la regla "Ganter Lab Dashboard" bajo Firewall de Windows, y ofrece Permitir la red local mientras esa regla falta; solo la ventana de la propia estación puede pulsarlo (véase La regla del firewall y la vigilancia de direcciones).

Aplicar un cambio: el reinicio

Habilitar, Deshabilitar, el interruptor de HTTPS, un puerto nuevo o una lista nueva de nombres abre el diálogo ¿Reiniciar el servidor web?. Su párrafo dice lo que cuesta y termina con "Esta pantalla la dibuja ese servidor, así que se detiene unos segundos y vuelve sola.":

• Habilitar: "Abrir los paneles de control en otros dispositivos reinicia el servidor web.";
• Deshabilitar: "Cerrar los paneles de control en otros dispositivos reinicia el servidor web, y un dispositivo que lea esta estación por la red deja de alcanzarla.";
• HTTPS encendido: "Servir por HTTPS reinicia el servidor web, y cada dispositivo le pide aceptar el certificado propio de esta estación la primera vez."; HTTPS apagado: "Volver a servir por HTTP sin cifrar reinicia el servidor web.";
• un puerto nuevo: "Mover esta estación al puerto N reinicia el servidor web.";
• nombres declarados: "Responder con estos nombres reinicia el servidor web."; el campo vaciado: "Volver a responder solo con las direcciones propias de esta estación reinicia el servidor web."

Cancelar no guarda nada: el acceso remoto y el interruptor de HTTPS se quedan en lo que la estación escucha, como durante la pregunta, y el campo del puerto y el campo de los nombres vuelven a lo que la estación escucha y a aquello con lo que responde. Aplicar y recargar guarda el ajuste; la aplicación quita entonces la regla vieja del firewall, detiene el host, lo arranca con las opciones nuevas y vuelve a crear la regla. Mientras eso ocurre, una cubierta titulada Reiniciando el servidor web se pone sobre la aplicación: "La pantalla vuelve sola en cuanto la estación responda de nuevo." en la ventana de escritorio, "La pantalla vuelve sola en cuanto responda la nueva dirección." en un navegador, seguida allí de "Cuando la pantalla vuelva, hay que iniciar sesión de nuevo: la sesión de un navegador termina con el reinicio.", y en las dos "La adquisición, la grabación y el servidor OPC UA siguen funcionando todo el tiempo." Un navegador sondea la dirección nueva cada medio segundo durante hasta treinta segundos y va a ella cuando responde; si no responde nada a tiempo, la cubierta se aparta y toma el relevo la pantalla de reconexión de siempre, con su Intentar de nuevo y su Recargar. La ventana de escritorio vuelve a apuntar su propia vista. Quien pidió el cambio es quien espera; los demás dispositivos simplemente pierden su conexión y se reconectan. Un navegador que apagó el acceso remoto no tiene, por decisión propia, a dónde volver.

HTTPS y su certificado

El certificado es autofirmado, emitido a nombre de "Ganter Lab Dashboard", válido cinco años, y enumera localhost, 127.0.0.1 y todas las direcciones LAN que tenía la estación cuando se hizo. Se guarda como dashboard-cert.pfx bajo la raíz de datos de la estación y se vuelve a hacer cuando falta, cuando no se puede leer, cuando le queda menos de un día para caducar, o cuando ya no cubre alguna de las direcciones de la estación. Los navegadores no confían en él por sí solos: cada dispositivo muestra su propia advertencia una vez y usted acepta ahí el certificado de la estación. Sin HTTPS, los PIN de inicio de sesión cruzan la red en texto claro, y lo mismo le pasa a todo lo demás que la estación muestre por la red, incluido el nombre de usuario del servidor OPC UA de Configuración; una contraseña escrita ahí cruza igual a la ida, aunque la guardada no se le envía nunca al navegador.

La regla del firewall y la vigilancia de las direcciones

La regla "Ganter Lab Dashboard" se crea y se quita con netsh a medida que la aplicación aplica el ajuste. Crear una regla necesita elevación, y la aplicación no la da por hecha: un fallo se anota en el diario y se traga, porque el enlace y la lista de permitidos de rangos privados siguen confinando el host, y Windows muestra entonces su propio aviso de "permitir el acceso". La regla se tira y se vuelve a crear en cada cambio, así que no se queda atrás ninguna regla caducada de un puerto viejo. Un arranque de demostración o de prueba, cuya carpeta de datos se trasladó a una carpeta propia, no crea ni quita la regla: el nombre de la regla es de toda la máquina, y quitarla dejaría sin acceso remoto al programa instalado. Una copia del programa que no se instaló, como una versión de desarrollo, tampoco toca la regla, por el mismo motivo.

Las direcciones de la estación pueden moverse bajo un host en marcha (una concesión DHCP nueva, un paso del Wi-Fi al cable, una base de conexión). La aplicación las vigila y, mientras el acceso remoto está encendido, vuelve a enlazar el host en las direcciones actuales, lo que también renueva el certificado cuando ya no las cubre; la tarjeta de la dirección lo sigue.

Abrir la estación con un nombre suyo

Una estación conoce por sí sola dos clases de nombre: las direcciones que enlazó y el nombre que Windows lleva de la máquina. Dos montajes le dan un tercero que no tiene forma de conocer. Uno es un alias de DNS, donde el propio DNS de la planta apunta un nombre con sentido a la dirección de la estación. El otro es un proxy inverso, donde un servidor delante de la estación toma la conexión y la reenvía. En ambos, el navegador escribe ese nombre en la solicitud, la estación lo compara con lo que publica, y un nombre que nadie declaró se rechaza con 403 antes de dibujar ninguna pantalla. Nombres con los que responde esta estación es donde se apunta: el nombre tal cual lo manda el navegador, un nombre tras otro con una coma entre ellos, y nada más, porque un protocolo, un puerto o una ruta en el campo serían un nombre que ninguna solicitud puede llevar.

La lista se lee cada vez que arranca el servidor web, así que un cambio entra en vigor con el mismo reinicio que cuestan los demás ajustes de aquí. No sigue el estado del acceso remoto. Un proxy en la propia máquina de la estación reenvía a la dirección de loopback, que la estación mantiene abierta con el acceso remoto encendido o apagado, mientras que un proxy en cualquier otro punto de la red necesita el acceso remoto encendido para llegar a la estación. Declare solo nombres que lleven de verdad hasta aquí: cada nombre que añada es un nombre más con el que una página en un navegador puede direccionar esta estación.

Quién puede abrir un panel de control

La primera pregunta no es quién está pidiendo, sino qué ha direccionado la solicitud. La estación responde en 127.0.0.1 en su propia máquina, con cada nombre declarado en Nombres con los que responde esta estación y, con el acceso remoto activado, en cada dirección LAN que enlazó y en el nombre de red de esta máquina; una solicitud que nombra cualquier otro host, o que lleva como origen la página de otro sitio, se rechaza con 403 y con la línea "Esta estación responde solo en la dirección que publica." antes de servir una pantalla, un archivo o una conexión. Eso es lo que impide que un sitio que usted visite por casualidad gobierne esta estación desde su navegador: una página así puede apuntar su propio dominio a esta máquina, pero no elige la dirección que el navegador escribe en la solicitud que hace por ella, y el intento queda registrado en Events. El endpoint del agente rechaza a sus propios llamadores con la misma regla.

El host web sirve la interfaz entera, no solo los paneles de control, y cada navegador es su propia conexión con su propio usuario con la sesión iniciada. Si una identidad puede entrar siquiera desde la red lo decide el permiso Acceso remoto (LAN) de su rol en la página Usuarios: un navegador cuya identidad no lo tiene no ve ninguna página, solo el panel de inicio de sesión, hasta que alguien con el bit inicie sesión. El rol Sin sesión iniciada lo tiene apagado por defecto, así que encender el acceso remoto no comparte nada hasta que un usuario inicie sesión, salvo que usted conceda deliberadamente el bit a ese rol para un quiosco o una tableta. Un navegador en la propia máquina de la estación no pasa nunca por esa puerta. A partir de ahí, el rol con la sesión iniciada decide todo lo demás, exactamente igual que en la ventana de la estación; véase Inicio de sesión.

Navegadores conectados y dispositivos configurados

Una tableta junto a una máquina o un ordenador en la planta abre la dirección de la estación todos los días. La tarjeta Acceso de clientes muestra en Conectados ahora cada navegador que tiene la estación abierta desde la red, y convierte cualquiera de ellos en un dispositivo configurado: uno que la estación reconoce a partir de entonces y abre como dice su fila, en un sinóptico propio, fijado en él si lo desea, con la sesión iniciada por sí solo, de vuelta al inicio tras quedarse sin uso, o de solo lectura. El dispositivo abre la dirección de la estación como siempre: no hay código QR ni enlace de emparejamiento para él.

Conectados ahora

"Cada navegador que abre esta estación desde otro ordenador o tableta en este momento, con la sesión iniciada o todavía en la pantalla de inicio de sesión. La ventana de este ordenador no aparece." Un navegador en el propio ordenador de la estación tampoco aparece. Cada fila nombra el navegador y su sistema tal como el navegador los dice ("Chrome en Windows", "Safari en iPad"), o el nombre del dispositivo si está configurado, y una línea con su dirección, la página que tiene abierta (En la pantalla de inicio de sesión mientras nadie ha iniciado sesión), quién tiene la sesión iniciada en él (Sin sesión iniciada cuando nadie la tiene) y desde cuándo. Sin nadie, el grupo dice "Ningún navegador de otro ordenador o tableta está conectado en este momento."

Para un rol que tenga Configurar acceso remoto, cada fila lleva dos verbos:

La clave del dispositivo

Configurar un dispositivo nunca muestra una clave en ningún sitio. La estación envía ese navegador, por su propia conexión, a una dirección de un solo uso que escribe una clave en una cookie de ese navegador que ninguna página puede leer, y la pantalla se recarga una vez. La estación guarda solo un hash de la clave, no se guarda nada si el navegador se va antes de recargar, y cada página que abre el dispositivo renueva la cookie, así que un dispositivo en uso conserva su clave. La clave pertenece a ese navegador y a la dirección con la que se abrió la estación: un navegador que se borra o se restablece, otro navegador en la misma tableta, o la estación abierta por otra de sus direcciones vuelve a ser un navegador desconocido, regresa a Conectados ahora y se configura de nuevo. Por HTTP simple la clave cruza la red como cruza un PIN de inicio de sesión; HTTPS cubre los dos.

Dispositivos configurados

"Cada dispositivo guarda una clave que esta estación dio a su navegador, y se abre como dice su fila. Un navegador que se borra o se sustituye pierde su clave y vuelve a Conectados ahora como un navegador desconocido." Cada fila tiene un punto, verde mientras el dispositivo está conectado, su nombre, y una línea que dice cómo se abre: Conectado en este momento o No conectado; luego "Se abre en Oven overview", "Fijado en Oven overview" o Se abre como cualquier navegador; luego "Inicia sesión como Vera" o Pide iniciar sesión; Solo lectura cuando lo es; y "Vuelve al inicio tras 5 min sin tocar" cuando vuelve. Cuando algo a lo que apunta ha cambiado, una nota bajo la fila dice qué hace el dispositivo en su lugar:

• "Su usuario fijo se eliminó, así que pide iniciar sesión."
• "El rol de Vera ya no tiene Acceso remoto (LAN), así que pide iniciar sesión."
• "Su sinóptico inicial se eliminó, así que se abre en View con todo el programa alrededor y sin fijar."

Pulsar una fila abre sus ajustes debajo de ella. Cada uno se guarda en cuanto sale del campo o cambia el interruptor, y llega en el acto a la pantalla abierta del dispositivo.

Olvidar en una fila elimina el dispositivo tras "¿Olvidar 'Line 3 tablet'?": "Su navegador conserva la clave, pero esta estación ya no lo reconoce: pide iniciar sesión como cualquier navegador hasta que se configure de nuevo. Esto no se puede deshacer.", con Olvidar y Conservarlo. Una pantalla abierta de ese dispositivo pasa en el acto a ser un navegador desconocido.

En el dispositivo

Un dispositivo con sinóptico inicial se abre en él. Fijado, se dibuja como el modo Ampliar de View: sin barra de navegación, sin barra de título y sin otras páginas, la barra de estado visible solo si el sinóptico la conserva a pantalla completa, y cualquier otra dirección que se escriba en él lo devuelve a su sinóptico inicial. Los botones configurados con Abrir otro panel de control son el único camino a otro sinóptico, y un sinóptico que el rol vigente no ve queda fuera de alcance. La barra de estado sigue diciendo la salud, las alarmas y las grabaciones, sin llevar a ninguna parte. Una tecla discreta Iniciar sesión en la esquina superior derecha abre el diálogo de inicio de sesión de siempre; mientras alguien tiene la sesión iniciada por encima del usuario del dispositivo, lleva el nombre de esa persona, y su diálogo le cierra la sesión de nuevo. Nada en el dispositivo quita la fijación: el dispositivo se cambia aquí.

Lo que el usuario fijo, iniciar sesión por encima de él, volver tras los minutos sin tocar y el modo de solo lectura hacen con quién tiene la sesión iniciada está en Inicio de sesión. Cada registro que el diario técnico guarda de lo que se hizo desde un dispositivo configurado lleva su nombre, que se lee como Dispositivo remoto en los detalles del registro en Consola y se exporta en una columna propia.

Un navegador no puede ponerse solo a pantalla completa, y una página no puede mantenerlo así: eso es el modo quiosco del propio dispositivo. En un iPad es el Acceso guiado (en Ajustes, Accesibilidad, y luego una triple pulsación del botón lateral o de inicio con Safari abierto); en Android, la fijación de pantalla en los ajustes de seguridad, o un navegador de quiosco; en un ordenador con Windows, Chrome o Edge iniciado con --kiosk seguido de la dirección de la estación, o el acceso asignado de Windows.

Quién puede cambiarlos

Ver acceso remoto lee las dos listas. Configurar acceso remoto identifica, configura, cambia y olvida dispositivos, y elegir un usuario fijo requiere además Gestionar los usuarios locales, para que un rol que solo configura el acceso remoto no pueda poner un administrador en una tableta. Una unidad en marcha o un runtime detenido atenúan los verbos y los campos con el motivo, como en el Connector. El agente lee las dos listas con remote_access_devices y cambia los ajustes de un dispositivo, nunca su usuario fijo, con remote_access_device_update. La demostración publicada no muestra ninguna de las dos: "La demostración no muestra los navegadores conectados a ella ni ningún dispositivo: sus visitantes son otras personas."

Lo que un navegador remoto no puede hacer

Unas pocas acciones existen solo en el escritorio de la propia estación y se quedan atenuadas en un navegador con "Solo disponible en el escritorio local de la estación.": abrir la carpeta de copias de seguridad, reiniciar para tomar una actualización, y abrir la ventana desacoplada de Eventos desde el medidor Advertencias. La fila Zoom del Desktop no se dibuja siquiera. Confiar, bloquear, revocar e importar certificados en Acceso de clientes y en Acceso a los equipos, y el botón del firewall de OPC UA, se rechazan en un navegador: "El acceso de clientes solo se puede cambiar en la aplicación de escritorio de la estación." Todo lo demás, estos ajustes de acceso remoto incluidos, sigue al rol con la sesión iniciada.

Lo que esta sección no hace

La estación no se expone nunca a internet y no monta ningún túnel: el enlace es un enlace de LAN, la regla del firewall está acotada a la subred local, y la lista de permitidos rechaza las direcciones públicas aunque las dos cosas estuvieran mal configuradas. No hay ninguna lista de dispositivos admitidos o rechazados (todo navegador que inicia sesión como un usuario con Acceso remoto (LAN) sigue entrando), ninguna forma de desconectar un navegador desde aquí, ninguna contraseña aparte para ver (la identidad es el usuario local), y ni idioma ni tema por dispositivo: el idioma es el de la estación y el tema el de cada navegador. El puerto del endpoint del agente se establece en la página Agente, no aquí.